16 agosto 2026
Il toolkit PhaaS Greatness ha integrato il device code phishing sfruttando l'OAuth 2.0 Device Authorization Grant per bypassare l'autenticazione multi-fattore e rubare token di accesso. La piattaforma, documentata pubblicamente da Cisco Talos nel maggio 2023 con attacchi contro utenti Microsoft 365 dal mid-2022, ha evoluto la propria offerta da semplice raccolta credenziali a ecosistema integrato che gestisce AiTM proxy, device code phishing e OAuth consent abuse dal medesimo pannello operatore. L'evoluzione, riportata il 4 agosto 2026 dalla ricerca ZeroBEC pubblicata su The Hacker News, conferma l'industrializzazione di tecniche prima manuali in piattaforme con prezzi da software-as-a-service e supporto via Telegram.
- Greatness gestisce da un pannello unificato tre vettori di attacco: AiTM credential/token theft, device code phishing e OAuth consent abuse, con backend condiviso.
- Il device code phishing abusa il flusso OAuth 2.0 Device Authorization Grant (RFC 8628): la vittima autentica su server Microsoft o Google legittimi, completando MFA, mentre il dispositivo controllato dall'attaccante riceve token e refresh token.
- L'abbonamento parte da $289 al mese, in crescita dai $120 al mese riportati a gennaio 2024, con registrazione e supporto via bot Telegram @gr8managerbot.
- Token rubati sono replayati entro minuti da infrastruttura proxy dedicata, con accessi attivi protratti per oltre due settimane e registrazione di nuovi dispositivi per generare Primary Refresh Token entro minuti dalla compromissione.
Come funziona il device code phishing di Greatness
Il meccanismo sfrutta una funzione legittima progettata per dispositivi con tastiera limitata o assente. L'attaccante avvia il flusso OAuth 2.0 Device Authorization Grant su un dispositivo sotto il proprio controllo, ottenendo un user_code e una verification_uri. Questi elementi sono trasmessi alla vittima attraverso lure di phishing — email, SMS o voicemail — che presentano un codice breve e una motivazione plausibile per inserirlo.
La vittima, su un dispositivo diverso, accede alla verification_uri reale — microsoft.com o google.com — inserisce il codice, autentica con credenziali proprie, completa l'eventuale MFA, e conferma il consenso. Il dispositivo originale dell'attaccante riceve access_token e refresh_token. Poiché l'interazione avviene interamente su infrastruttura autentica, non esistono indicatori visivi tradizionali di phishing: nessuna pagina falsa da analizzare, nessun URL sospetto da rilevare.
Secondo ZeroBEC, "non c'è un sito di login falso da costruire o da far bloccare, e non c'è nulla di visivamente sbagliato che l'utente possa notare, perché la pagina su cui inserisce la password è davvero Microsoft. L'unica cosa insolita è un codice breve e una ragione plausibile per inserirlo".
L'industrializzazione del pannello operatore
La piattaforma Greatness integra nel medesimo pannello operatore tre vettori di attacco con backend condiviso: AiTM credential e token theft, device code phishing, e OAuth consent abuse. Il supporto si estende a target multipli: Microsoft 365, Google Workspace, iCloud e Yahoo. Il pannello include statistiche di campagna, configurazione di domini, selezione CAPTCHA, e oltre 11 template scaricabili che coprono voicemail, condivisione documenti e QR codes.
I template osservati comprendono: AudioLogin, ChatAssistance, WindowsExplorer, Voicemail, OneDrive, QR e VideoPlayer. L'accesso al pannello richiede una license key di 9 caratteri. Registrazione e supporto tecnico avvengono esclusivamente tramite bot Telegram: @gr8managerbot per l'assistenza, @greatnessmgr per la gestione delle licenze.
La catena di redirect che precede il phishing finale è strutturata in 5 stadi, con protezioni anti-analisi, fingerprinting User-Agent e gate CAPTCHA. Le campagne recenti utilizzano lure voicemail che impersonano RingCentral, sfruttando la configurazione di safe sender exclusions — presente perché il target è cliente reale di RingCentral — anche quando SPF, DKIM e DMARC risultano falliti.
Timeline post-compromissione e persistenza
I token raccolti attraverso il device code phishing non restano inattivi. ZeroBEC documenta che sono replayati entro minuti da infrastruttura proxy dedicata, con enumerazione delle risorse Microsoft 365 tramite Graph API. Un indirizzo IP proxy AiTM, 38.248.95[.]214, ha continuato ad autenticarsi contro account vittima per oltre due settimane dopo la campagna iniziale.
Microsoft ha osservato pattern di persistenza che seguono una cronologia specifica: registrazione di nuovi dispositivi entro minuti dalla compromissione per generare Primary Refresh Token, seguita da un'attesa di diverse ore prima dell'impostazione di regole inbox malevole o dell'esfiltrazione. Questa latenza riduce il rischio di rilevamento immediato da parte di sistemi di monitoraggio basati su picchi di attività.
Okta, in un report di maggio 2026, ha confermato che pagine di device code phishing impiegano CAPTCHA e catene di redirect multi-hop con tecniche anti-analisi simili a quelle documentate per Tycoon 2FA. La sovrapposizione tecnica è evidente; non emergono nel dossier sovrapposizioni infrastrutturali che colleghino Greatness a Tycoon allo stato attuale.
Cosa fare adesso
Le difese contro il device code phishing richiedono interventi specifici sui flussi OAuth, non solo consapevolezza generica. LevelBlue, citato nella ricerca ZeroBEC, raccomanda di bloccare il metodo OAuth device flow a livello globale nelle Conditional Access Policies di Microsoft Entra ID, escludendo solo casi d'uso specifici documentati come dispositivi IoT o smart TV aziendali.
Gli amministratori dovrebbero verificare che le policy di Conditional Access richiedano device compliance o trusted location anche per i flussi di autenticazione device code, non solo per i login browser tradizionali. Il monitoraggio deve allertare su registrazioni di nuovi dispositivi entro minuti dalla compromissione, quando gli attaccanti generano Primary Refresh Token per persistenza estesa.
Le organizzazioni clienti di RingCentral dovbero trattare le breach di vendor come trigger immediato per audit delle email exclusion rules: la ricerca ZeroBEC evidenzia che gli attaccanti sfruttano il fatto che i target sono clienti reali del servizio impersonato, con conseguente presenza del dominio nelle liste safe sender.
Perché è importante
Il dossier non specifica misure correttive rilasciate da Microsoft o altri vendor oltre alle raccomandazioni generiche di Conditional Access. Il brief non documenta se Greatness abbia già adattato il proprio toolkit a contromisure di questo tipo.
Il dossier non specifica il numero esatto di operatori o vittime attivi della piattaforma, né la geografia preferita o i settori maggiormente colpiti. Non è chiaro se il prezzo di $289 al mese si applichi a tutti i tier di abbonamento o solo a quello base. Non è confermato se Greatness sia sviluppato dallo stesso team dietro Tycoon 2FA o replichi semplicemente tecniche osservate in quella piattaforma.
L'aspetto critico resta il cambiamento del perimetro difensivo: le tradizionali campagne di training su riconoscimento di URL sospetti e pagine fake diventano inefficaci quando la vittima interagisce con domini autentici di Microsoft o Google. Come nota Mani Masood, "l'utente approva una richiesta reale, ma non comprende chi l'ha creata o perché è apparsa. MFA conferma la persona alla tastiera. Non conferma sempre la persona che ha avviato il login".
Il passaggio da toolkit specializzati a piattaforme integrate con economia di scala abbassa la barriera d'ingresso per criminali meno tecnici, accelerando la diffusione di tecniche che richiedevano precedentemente competenze manuali. Il supporto via Telegram e i prezzi mensili strutturano un modello di business ripetibile, non dipendente dalla vendita di exploit zero-day o accessi singoli.
"Greatness supports AiTM credential and token theft, device code phishing, and OAuth consent abuse, all from the same operator panel and shared backend infrastructure" — ZeroBEC (via The Hacker News)
Le informazioni sono basate sull'advisory citato e aggiornate al momento della pubblicazione.
Fonti
- https://thehackernews.com/2026/08/greatness-phaas-adds-device-code.html
- https://manimasood.com/device-code-phishing-mfa-token-theft/
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://news.cybertechworld.co.in/index.php/2026/08/04/greatness-phaas-adds-device-code-phishing-to-bypass-mfa-and-steal-tokens/
- https://www.guardianmssp.com/2026/08/04/greatness-phaas-adds-device-code-phishing-to-bypass-mfa-and-steal-tokens/
- https://www.trendmicro.com/en_us/forHome/products/free-tools.html
- https://www.guardianmssp.com/network-security/
- https://www.guardianmssp.com/wp-content/uploads/2023/07/logo-r.png
